GCM API 密钥是否应该保密？

Question

根据documentation：

请勿在客户端代码中的任何位置包含 API 密钥。

在我们当前的 Android 应用中就是这种情况——API 密钥没有包含在代码中。但是，对于 com.google.gms:google-services 库的新版本 3.0.0，如果没有它，它就会开始抛出错误 Missing api_key/current_key，如下所述：Missing api_key/current key with Google Services 3.0.0。

此外，Google 的配置生成器 https://developers.google.com/mobile/add?platform=android&cntapi=gcm 在 google-services.json 文件中包含 API 密钥。

它应该保密吗？或者将其包含在客户端应用中是否安全？

Answer 1

google-services.json 文件代表 Firebase 中所有可用服务的配置。有些服务需要“Android”API 密钥。这些是您可以在 google-services.json 文件中找到的 API 密钥。您的应用可能使用也可能不使用这些 API 密钥，具体取决于您的应用使用的 Firebase API。

FCM 有一个用于发送消息的“服务器”API 密钥，此 API 密钥不是 google-services.json 文件中包含的密钥。服务器 API 密钥永远不应包含在您的应用程序中。然而，谷歌服务插件确实会在构建时查找那些 Android API 密钥，这可能是您出错的原因，这不是因为您的 FCM 服务器 API 密钥丢失。

Answer 2

回答我自己的问题。

如果我在 Firebase (https://console.firebase.google.com) 上创建一个新的测试项目，它还会将 API 密钥包含到

• 用于 Android 应用的 google-services.json，
• 适用于 iOS 应用的 GoogleService-Info.plist，
• 对于 Web 应用程序，它甚至建议将 API 密钥包含到我的 HTML 中。

鉴于 HTML 绝对是公开的，我现在非常确信这不是秘密。

Answer 3

如果您使用 GCM，您的 Android 应用不需要知道 API 密钥。我只需要在 json 文件中为 api_key 包含一个空字段，GCM 即可工作。正如Missing api_key/current key with Google Services 3.0.0 and Maps API key in build.gradle 的答案中提到的那样，我只需要在google-services.json 中添加如下一行，GCM 就可以工作：

"api_key": [
  {
      "current_key": ""
  }
],

我认为您不应该包含 API 密钥，因为我认为只有您的服务器需要 API 密钥才能通过 Google 进行身份验证，以请求它向预期的接收者发送推送消息。如果有人抓住它，那将是一个风险。所以文件看起来像：

{
  "project_info": {
    ...
  },
  "client": [
    {
      "client_info": {
         ...
      },
      "oauth_client": [
        {
          "client_id": "yourid.whatever.com",
          ...
        }
      ],
      "api_key": [
        {
          "current_key": ""
        }
      ],
      "services": {
       ...
      }
    }
  ],
  "configuration_version": "1"
}

希望这会有所帮助。